Obligația de diligență: cele zece măsuri din articolul 21
Ce se așteaptă în mod concret de la dumneavoastră, per măsură — și cum vedeți că este reglementat.
Zece subiecte, nu o listă de cerințe tehnice
Directiva nu prescrie produse și nici instituții. Menționează zece subiecte pe care trebuie să luați măsuri potrivite și proporționale, și vă lasă să completați detaliile. Potrivit și proporțional înseamnă: în proporție cu riscul dumneavoastră, dimensiunea dumneavoastră și starea tehnicii. Un spital cu trei mii de persoane procedează diferit decât o companie de software cu șaizeci.
Asta o face mai dificilă decât o simplă listă de verificare, dar și mai corectă. Și explică de ce nu există certificate: nu există o normă împotriva căreia să se certifice.
Unde se blochează majoritatea organizațiilor
Nu pe tehnică. Aproape toată lumea are copii de siguranță, actualizări și politici de parolă. Unde merge prost este demonstrarea: nu este nicăieri notat, nu există proprietar și nimeni nu poate arăta când a fost testat ultima dată.
Obligația de diligență nu doar cere să o faceți, ci să o puteți dovedi. Asta este și exact ceea ce un client vrea să vadă în chestionarul său și ceea ce o autoritate de supraveghere cere în primul rând.
Começați fără un proiect de un an
Comenzi cu ceea ce aveți deja. Pentru fiecare dintre cele zece subiecte: este reglementat, parțial, deloc, sau nu este cazul, și cine răspunde de asta. Doar asta deja furnizează o imagine pe care o puteți arăta unui client și clarează care două sau trei lucruri chiar au nevoie de atenție.
Ceea ce nu trebuie să faceți este să începeți cu o evaluare zero de zeci de mii de euro. Faceți mai întâi singur inventarul, apoi știți cu privire la ce aveți nevoie de sfaturi.
Întrebări frecvente
Există un certificat NIS2?
Nu. Nu există o entitate care să certifice că respectați NIS2, iar cine o oferă vinde ceva care nu există. Ceea ce poate fi făcut este să se noteze în mod demonstrabil ceea ce ați reglementat, cu dată și dovadă.
Ajută ISO 27001 la asta?
Considerabil, pentru că multe dintre cele zece subiecte sunt incluse în ea. Dar nu este același lucru și nu este o înlocuire: NIS2 are o obligație de notificare și o obligație de înregistrare care nu apar în normă.
Cât de des trebuie să actualizez asta?
Directiva nu menționează un termen, dar cere să evaluați eficacitatea. O dată pe an și după fiecare incident semnificativ este o poziție care poate fi apărată.
Aceasta este explicație, nu consiliere privind situația dumneavoastră. secria.eu nu evaluează organizația dumneavoastră și nu oferă asigurări.